基本情報技術者試験 - 令和5年12月修了 - 問31

SIEM（Security Information and Event Management）の特徴はどれか。

ア	DMZを通過する全ての通信データを監視し，不正な通信を遮断する。
イ	サーバやネットワーク機器のMIB（Management Information Base）情報を分析し，中間者攻撃を遮断する。
ウ	ネットワーク機器のIPFIX（IP Flow Information Export）情報を監視し，攻撃者が他者のPCを不正に利用したときの通信を検知する。
エ	複数のサーバやネットワーク機器のログを収集分析し，単体では特定困難な不審なアクセスを検知する。

◀ 問30　|　▲ 令和5年12月修了問題一覧　|　問32 ▶

答え：エ
分野：テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ対策

同一問題 ：〔令7修1問31〕

解説：
「SIEM」（Security Information and Event Management）とは，複数のサーバやネットワーク機器から出力されるログ（記録）を一元的に収集し，それらを横断的に分析することによって，単体のログだけでは見つけにくい，不審なアクセスや攻撃の兆候を検知する仕組みです。複数の機器のログを組み合わせて分析することで，より高度で見えにくい脅威の発見につなげることができます。正解は「エ」です。

「ア」は，DMZを通過する全ての通信データを監視し，不正な通信を遮断するとしていますが，これはファイアウォールやIPS（侵入防止システム）などの機能に近い説明であり，複数のログを分析するSIEMの特徴とは異なります。

「イ」は，MIB情報を分析して中間者攻撃を遮断するとしていますが，これはネットワーク管理プロトコルであるSNMPに関連する内容であり，SIEMの一般的な機能とは異なります。

「ウ」は，IPFIX情報を監視して不正利用時の通信を検知するとしていますが，これはネットワークのフロー情報を扱う，より限定的な監視の仕組みについての説明であり，複数のログを横断的に分析するというSIEMの本質的な特徴とは異なります。